Las empresas auditadas ya utilizan inteligencia artificial en numerosos procesos rutinarios: estimaciones contables, análisis de riesgos, selección de personal, atención al cliente, detección de operaciones anómalas o generación de documentación.
En muchos casos, estos sistemas intervienen en la información financiera o en los controles internos sin que la organización disponga de un inventario completo, una clasificación de riesgos o una documentación suficiente sobre su funcionamiento.
La cuestión ya no es si una empresa utiliza IA, sino si ese uso está identificado, controlado y correctamente evaluado durante la auditoría.
¿Qué es el Reglamento Europeo de IA?
El Reglamento Europeo de Inteligencia Artificial, conocido como AI Act, establece las normas para desarrollar, comercializar y utilizar sistemas de IA en la Unión Europea. Las obligaciones dependen del nivel de riesgo de cada sistema: cuanto mayor sea su impacto potencial sobre las personas, la seguridad o los derechos fundamentales, mayores serán los controles exigidos.
El Reglamento entró en vigor en 2024 y se aplica de forma progresiva. Desde el 2 de agosto de 2026 comienzan a exigirse, entre otras, las principales obligaciones de transparencia previstas en su artículo 50.
¿Por qué afecta el AI Act a los auditores?
El AI Act no establece que cualquier utilización de inteligencia artificial deba aparecer automáticamente en el informe de auditoría. Sin embargo, el auditor deberá tenerla en cuenta cuando pueda afectar a la información financiera, al sistema de control interno, a las estimaciones contables, a la evidencia obtenida o al cumplimiento de disposiciones legales con posibles consecuencias económicas.
La NIA-ES 315 Revisada exige que el auditor aplique procedimientos de valoración del riesgo para conocer la entidad, su modelo de negocio, el grado en que utiliza tecnologías de la información y el funcionamiento de su sistema de control interno.
Por tanto, aquellos auditores que auditen empresas que usen sistemas de IA, ahora deberán:
1. Identificar qué sistemas de IA utiliza la organización
El primer paso consiste en conocer qué sistemas de inteligencia artificial se están usando y en qué procesos intervienen. No basta con preguntar a la dirección si la empresa tiene una estrategia corporativa de IA. Muchas herramientas se incorporan directamente desde los departamentos de finanzas, recursos humanos, marketing, ventas o atención al cliente.
Los Procedimientos de Valoración del Riesgo deberán permitir identificar, entre otros aspectos:
- La herramienta o sistema utilizado.
- Su proveedor y versión.
- La finalidad para la que se emplea.
- Los departamentos y usuarios autorizados.
- Los datos que recibe y genera.
- Los procesos empresariales afectados.
- Su relación con la información financiera.
- Los controles y responsables de supervisarlo.
- Si se trata de una solución propia o contratada a un tercero.
El resultado debería ser un inventario actualizado de los sistemas de IA, tanto propios como externos. Este registro será la base para determinar qué riesgos presenta cada herramienta, qué obligaciones le corresponden y qué procedimientos deberá aplicar el auditor.
2. Clasificar cada sistema según su nivel de riesgo
Una vez inventariados los sistemas, debe hacerse una clasificación inicial. El marco europeo distingue cuatro niveles generales: riesgo inaceptable, alto riesgo, riesgo de transparencia o limitado y riesgo mínimo o nulo.
Para empezar, los sistemas de riesgo inaceptable están prohibidos. Entre ellos se encuentran determinadas prácticas de manipulación, puntuación social o reconocimiento de emociones en el entorno laboral, salvo las excepciones previstas por la norma.
Los sistemas de alto riesgo son aquellos que pueden producir un impacto relevante sobre la seguridad, la salud o los derechos fundamentales. En esta categoría pueden encontrarse, herramientas utilizadas para la contratación y evaluación de trabajadores, la concesión de crédito, el acceso a servicios esenciales o la captación de datos biométricos.
La mayoría de las herramientas serán de riesgo mínimo o nulo y no estarán sujetas a obligaciones específicas del AI Act. Sin embargo, que un sistema pertenezca a esta categoría no significa que sea irrelevante para la auditoría. Si influye en una estimación contable, en un control automatizado o en la información utilizada por la dirección, deberá analizarse desde la perspectiva de las NIA-ES.
3. Verificar y evaluar las obligaciones aplicables
Después de identificar y clasificar los sistemas, el auditor deberá determinar qué obligaciones corresponden a la entidad en cada caso. No todos los requisitos del Reglamento se aplican a todos los sistemas ni a todas las empresas.
Estas son algunas de las principales áreas que deberán evaluarse:
Gestión de riesgos
Cuando la empresa auditada utilice un sistema de alto riesgo de un tercero, el auditor deberá diferenciar las obligaciones del proveedor de las que corresponden a la entidad como responsable del despliegue.
Documentación y trazabilidad
Los sistemas sujetos a requisitos específicos deben contar con documentación suficiente para explicar su finalidad, funcionamiento, limitaciones, datos utilizados, controles y resultados.
La trazabilidad también debe permitir reconstruir qué datos se introdujeron, qué resultado generó la herramienta, quién lo revisó y cómo influyó en una decisión o registro contable.
Supervisión humana
La revisión humana no debería ser solo una validación automática del contenido generado. La persona encargada de supervisar el sistema debe de tener la capacidad, formación y autoridad necesarias para interpretar el resultado, identificar errores y descartar su uso ante una duda razonable. En los sistemas de alto riesgo, el AI Act establece obligaciones concretas de supervisión para los responsables del despliegue.
Transparencia
Desde el 2 de agosto de 2026 deberán aplicarse las obligaciones de transparencia del artículo 50. Estas incluyen informar cuando una persona interactúa con determinados sistemas de IA, facilitar que las máquinas puedan detectar aquellos contenidos generados artificialmente, y determinados textos sobre asuntos de interés público.
Por tanto, el auditor deberá determinar en caso de que estas obligaciones sean aplicables, si la empresa ha establecido controles para cumplirlas y si un posible incumplimiento puede producir efectos significativos.
4. Generar una hoja de ruta de cumplimiento
La revisión no termina con una lista de sistemas y riesgos. El auditor debe dejar constancia del trabajo hecho, de aquellas obligaciones que debe cumplir la empresa y de las medidas correspondientes.
Por ello, el proceso debe concluir con un papel de trabajo que recoja una hoja de ruta priorizada de cumplimiento, indicando:
- Los sistemas inventariados.
- Su propietario y proveedor.
- La clasificación de riesgo asignada.
- Los procesos y áreas afectados.
- Las obligaciones aplicables.
- Los controles existentes.
- Las deficiencias detectadas.
- Las medidas correctoras necesarias.
- El responsable de ejecutarlas.
- El plazo previsto.
- El porcentaje de avance.
Esta hoja de ruta permite ordenar los riesgos y diferenciar aquellas acciones urgentes, de las que pueden realizarse de forma progresiva.
No obstante, el auditor deberá mantener clara la diferencia entre evaluar los posibles efectos sobre la auditoría y emitir una certificación integral de cumplimiento del AI Act.
Sistemas propios y sistemas de terceros
Uno de los errores más frecuentes es pensar que la empresa no tiene responsabilidades porque la herramienta ha sido desarrollada por un proveedor externo.
La posición de la entidad dependerá de cómo utilice el sistema. Por tanto, el inventario debe incluir ambas categorías:
Sistemas propios, desarrollados internamente o comercializados bajo la marca de la organización.
Sistemas de terceros, contratados como plataformas, aplicaciones, módulos o servicios externos, incluidos aquellos que pueden haberse incorporado sin una autorización formal del departamento de tecnología.
En ambos casos será necesario conocer su finalidad, los datos que procesan, los controles aplicados y su impacto sobre los procesos que se auditan.
Sanciones por el incumplimiento del AI Act
Esta nueva normativa, no solo determina unas obligaciones, también establece ciertas sanciones para aquellos que la incumplan.
En general, las prácticas de IA prohibidas pueden conllevar multas de hasta 35 millones de euros o el 7 % de su facturación
En cambio, el incumplimiento de otras obligaciones, incluidas las relativas a la transparencia o al uso de sistemas de alto riesgo, puede alcanzar los 15 millones de euros o el 3 % de su facturación.
El proporcionar información incorrecta o incompleta a las autoridades puede sancionarse con hasta 7,5 millones de euros o el 1 % de la facturación.
CleverAudit v10 le permitirá cumplir con todos los puntos anteriores.
CleverAudit v10 ya incorpora una referencia específica, AG)03.8, destinada a analizar el uso de sistemas de inteligencia artificial en las entidades auditadas, además de incluir su propia IA (CleIA) la cual cumple con todas las obligaciones de la AI Act.
Nuestro objetivo no es sustituir el juicio profesional, sino proporcionar una herramienta que ayude a identificar los sistemas, ordenar los riesgos y documentar las conclusiones de forma práctica y automatizada.
La pregunta ya no es si la IA puede hacerlo
La inteligencia artificial puede agilizar muchos de los procesos de auditoría, pero también puede cometer errores: falta de trazabilidad, dependencia de proveedores y riesgos de incumplimiento que no siempre son visibles.
Para el auditor, el reto no consiste únicamente en conocer la tecnología. Consiste en determinar si su utilización afecta a la información financiera, si existen controles suficientes y si la evidencia generada puede considerarse fiable.
Porque la pregunta ya no es si la IA puede hacerlo, sino si es conforme hacerlo y si existen evidencias suficientes para demostrarlo.